AzureSentinel

機能

Sentinelで手動インシデント作成

Hunting > Query実行 > View Result > Bookmark作成 > Huntingブレードに戻ってBookmarksタブ > Incident Actions

PlaybookをAutomation Ruleに表示されるにはIncident Creation Ruleトリガーが必要

ネタ

AzureADに保存されたBitlockerはエンドユーザーも取得できてRecoveryに使える

それをSentinelで検知するためのブログ

っていうか、Log AnalyticsがAgentもってて、それをWIndowsにインスコすることでEvent Viewerとか集められたのか...

Detect if Windows Defender Real-time Protection is Off on Windows 10 devices (also when Realtime Protection has crashed).

https://gyazo.com/7538f67811a8406f5c1d8b8d5054cf3e